マルウェア感染端末検知装置、マルウェア感染端末検知方法及びマルウェア感染端末検知プログラム
【課題】迅速にマルウェア感染端末を検知することを課題とする。
【解決手段】マルウェア感染端末検知装置は、ネットワーク通信における通信プロトコルと、該ネットワーク通信で利用されるポート番号とを特定する。また、マルウェア感染端末検知装置は、マルウェアを動作させたときに該マルウェアが関与した通信の通信プロトコルと、該マルウェアが関与した通信で利用されたポート番号とを記憶部から取得する。その後、マルウェア感染端末検知装置は、特定されたポート番号が通信プロトコルに対応するＷｅｌｌ−Ｋｎｏｗｎポートではない場合、且つ、特定された通信プロトコル及びポート番号と、取得された通信プロトコル及びポート番号とが一致する場合に、ネットワーク通信を行なっている端末がマルウェアに感染していることを検知する。
【解決手段】マルウェア感染端末検知装置は、ネットワーク通信における通信プロトコルと、該ネットワーク通信で利用されるポート番号とを特定する。また、マルウェア感染端末検知装置は、マルウェアを動作させたときに該マルウェアが関与した通信の通信プロトコルと、該マルウェアが関与した通信で利用されたポート番号とを記憶部から取得する。その後、マルウェア感染端末検知装置は、特定されたポート番号が通信プロトコルに対応するＷｅｌｌ−Ｋｎｏｗｎポートではない場合、且つ、特定された通信プロトコル及びポート番号と、取得された通信プロトコル及びポート番号とが一致する場合に、ネットワーク通信を行なっている端末がマルウェアに感染していることを検知する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、マルウェア感染端末検知装置、マルウェア感染端末検知方法及びマルウェア感染端末検知プログラムに関する。
【背景技術】
【０００２】
従来、情報漏洩や不正アクセス等の脅威をもたらすコンピュータウィルスやスパイウェア、ボットプログラムといった悪意のある不正なコンピュータプログラム（以下、「マルウェア」と呼ぶことがある）が猛威を振るっている。
【０００３】
マルウェアによる脅威を抑制するためには、マルウェアに感染した端末からマルウェアを駆除することが重要である。マルウェアを駆除するために、ユーザは、一つの様態として、マルウェアに感染した端末に対して、アンチウィルスソフトウェア等を利用して対処してきた。ところが、１．４秒に１件の新種マルウェアが出現しているという報告もある（非特許文献１）ことから、アンチウィルスソフトウェアで検知するだけでは対応が追いつかないことが多い。このため、端末ごとにおける対応だけでなく、マルウェアに感染した端末をネットワーク側から検出し、対処することが好ましい。
【０００４】
マルウェアには、例えば、ＩＲＣ（Internet Relay Chat）やＨＴＴＰ（HyperText Transfer Protocol）等のように、一般に用いられるプロトコルで通信するものがある（非特許文献２）。このようなプロトコルの利用によりマルウェアに感染した端末の通信をネットワーク上で検知する手法としては、例えば、マルウェアの一種であるボットがＣ＆Ｃ（Command And Control）サーバと通信する際の特徴的なペイロードを判定基準とするものがある。
【０００５】
具体的に、特徴的なペイロードとしては、マルウェアとＣ＆ＣサーバとがＩＲＣプロトコルにより通信する際のＮＩＣＫ（nickname）や、Ｃ＆Ｃサーバから送信されるＴＯＰＩＣ等が挙げられる。そして、多くのマルウェアに共通するペイロードのパターンが含まれている場合には、該当のプログラムをマルウェアとして検知する。
【０００６】
また、主要な通信プロトコルで使用されるＷｅｌｌ−Ｋｎｏｗｎポートとは異なるポートで行なわれる通信をマルウェアの判定基準とすることが考えられる（非特許文献３）。
【先行技術文献】
【非特許文献】
【０００７】
【非特許文献１】“McAfee脅威レポート：２０１０年第三四半期”、［online］、［平成２３年４月６日検索］、インターネット＜http://www.macafee.com/japan/security/threateport10q3.asp＞
【非特許文献２】Jan Goebel、Thorsten Holz、“Rishi：Identify Bot Contaminated Hosts by IRC Nickname Evaluation”、USENIX First Workshop on Hot Topic in Understanding Botnets（HotBots ’07）、2007．4．10
【非特許文献３】Holger Dreger、Anja Feldmann、Michael Mai、Vern Paxson、Robin Sommer、“Dynamic Application‐Layer Protocol Analysis for Network Intrusion Detection”、15th USENIX Security Symposium、2006．8．4
【発明の概要】
【発明が解決しようとする課題】
【０００８】
従来技術では、迅速にマルウェア感染端末を検知することができないという問題がある。具体的には、従来技術では、マルウェアに共通するペイロードのパターンを検出するために、特徴的なペイロードを利用しているものの、新種のマルウェアの出現数は膨大であるためそのパターンを網羅することは困難である。また、そもそも、従来技術では、マルウェアに共通するペイロードのパターンが利用されないものについては検知することができない。また、従来技術では、例えば、ＩＲＣやＨＴＴＰ等の通信において、マルウェアに感染していないユーザであっても、Ｗｅｌｌ−Ｋｎｏｗｎポートとは異なるポートで通信を行なうこともあるため、Ｗｅｌｌ−Ｋｎｏｗｎポートとは異なるポートの通信を一纏めにマルウェアの判定基準とするのは好ましくない。
【０００９】
そこで、本発明は、上記に鑑みてなされたものであって、迅速にマルウェア感染端末を検知することが可能であるマルウェア感染端末検知装置、マルウェア感染端末検知方法及びマルウェア感染端末検知プログラムを提供することを目的とする。
【課題を解決するための手段】
【００１０】
上述した課題を解決し、目的を達成するため、本発明に係るマルウェア感染端末検知装置は、ネットワーク通信における通信プロトコルと、該ネットワーク通信で利用されるポート番号とを特定する特定部と、マルウェアを動作させたときに該マルウェアが関与した通信の通信プロトコルと、該マルウェアが関与した通信で利用されたポート番号とを取得する取得部と、前記特定部で特定されたポート番号が前記通信プロトコルに対応するＷｅｌｌ−Ｋｎｏｗｎポートではない場合、且つ、前記特定部で特定された通信プロトコル及びポート番号と、前記取得部で取得された通信プロトコル及びポート番号とが一致する場合に、前記ネットワーク通信を行なっている端末がマルウェアに感染していることを検知する検知部とを有する。
【発明の効果】
【００１１】
本発明に係るマルウェア感染端末検知装置、マルウェア感染端末検知方法及びマルウェア感染端末検知プログラムの一つの様態によれば、迅速にマルウェア感染端末を検知することができるという効果を奏する。
【図面の簡単な説明】
【００１２】
【図１】図１は、実施例１に係るシステム構成例を示す図である。
【図２】図２は、実施例１に係るマルウェア感染端末検知装置の構成例を示す図である。
【図３】図３は、マルウェア情報記憶部によって記憶される情報の例を示す図である。
【図４】図４は、実施例１に係るマルウェア感染端末検知処理の流れの例を示すフローチャートである。
【図５】図５は、実施例２に係るマルウェア感染端末検知処理の流れの例を示すフローチャートである。
【図６】図６は、実施例２に係るシステム構成例を示す図である。
【図７】図７は、本発明に係るマルウェア感染端末検知プログラムがコンピュータを用いて具体的に実現されることを示す図である。
【発明を実施するための形態】
【００１３】
以下に添付図面を参照して、本発明に係るマルウェア感染端末検知装置、マルウェア感染端末検知方法及びマルウェア感染端末検知プログラムの実施例を説明する。なお、以下の実施例により本発明が限定されるものではない。
【実施例１】
【００１４】
［システム構成］
図１を用いて、実施例１に係るシステム構成を説明する。図１は、実施例１に係るシステム構成例を示す図である。
【００１５】
例えば、図１に示すように、本発明に係るマルウェア感染端末検知装置は、内部ネットワークと外部ネットワークとのネットワークにおけるパケットを分岐するネットワークタップに接続される。かかるネットワークタップは、各種のネットワークにおけるパケットの分岐を、ネットワークに影響を及ぼすことなく実行できる。すなわち、ネットワークタップは、ネットワーク上のパケットを遅延させたり、接続されるネットワーク機器に負荷を与えたりしない。なお、ネットワークを流れるパケットを分岐できる機器であれば良いため、ネットワークタップに限られるものではない。
【００１６】
上記構成において、マルウェア感染端末検知装置は、ネットワーク通信における通信プロトコルと、該ネットワーク通信で利用されるポート番号とを特定する。そして、マルウェア感染端末検知装置は、マルウェアを動作させたときに該マルウェアが関与した通信の通信プロトコルと、該マルウェアが関与した通信で利用されたポート番号とを取得する。続いて、マルウェア感染端末検知装置は、特定されたポート番号が通信プロトコルに対応するＷｅｌｌ−Ｋｎｏｗｎポートではない場合、且つ、特定された通信プロトコル及びポート番号と、取得された通信プロトコル及びポート番号とが一致する場合に、ネットワーク通信を行なっている端末がマルウェアに感染していることを検知する。なお、マルウェア感染端末検知装置による詳細な処理については後述する。
【００１７】
［マルウェア感染端末検知装置の構成］
次に、図２を用いて、実施例１に係るマルウェア感染端末検知装置の構成を説明する。図２は、実施例１に係るマルウェア感染端末検知装置の構成例を示す図である。
【００１８】
例えば、図２に示すように、マルウェア感染端末検知装置１００は、記憶部１１０と、制御部１２０とを有する。記憶部１１０は、例えば、制御部１２０による各種処理に要するデータや、制御部１２０による各種処理結果を記憶する。また、記憶部１１０は、例えば、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、フラッシュメモリ（Flash Memory）等の半導体メモリ素子、又は、ハードディスク、光ディスク等の記憶装置である。かかる記憶部１１０には、マルウェア情報記憶部１１１が含まれる。
【００１９】
制御部１２０は、例えば、制御プログラム、各種の処理手順等を規定したプログラム及び所要データを格納するための内部メモリを有する。また、制御部１２０は、例えば、ＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）等の集積回路、又はＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）等の電子回路である。かかる制御部１２０には、特定部１２１と、取得部１２２と、検知部１２３とが含まれる。
【００２０】
特定部１２１は、例えば、ネットワークタップ等により分岐されたパケットのペイロードを分析し、ネットワーク通信における通信プロトコルを特定する。同様に、特定部１２１は、ネットワーク通信で利用される宛先ポート番号を特定する。また、特定部１２１は、ネットワーク通信における送信元ＩＰアドレスと、宛先ＩＰアドレスとをさらに特定する。そして、特定部１２１は、上記各種情報を特定した場合に特定した旨を取得部１２２に通知するとともに、特定した各種情報を検知部１２３に通知する。
【００２１】
取得部１２２は、例えば、特定部１２１からの通知を受けると、マルウェアを動作させたときに該マルウェアが関与した通信の通信プロトコルを取得する。同様に、取得部１２２は、マルウェアが関与した通信で利用された宛先ポート番号を取得する。また、取得部１２２は、マルウェアが関与した通信で利用される宛先ＩＰアドレスをさらに取得する。そして、取得部１２２は、取得した各種情報を検知部１２３に通知する。取得部１２２が取得する各種情報は、一つの様態として、マルウェア情報記憶部１１１に記憶される。他の様態として、取得部１２２が取得する各種情報は、マルウェア感染端末検知装置１００に接続される外部の記憶装置やネットワーク上のサーバ装置等に記憶される。
【００２２】
図３は、マルウェア情報記憶部１１１によって記憶される情報の例を示す図である。例えば、図３に示すように、マルウェア情報記憶部１１１は、「プロトコル」と、「宛先ＦＱＤＮ（Fully Qualified Domain Name）」と、「宛先ＩＰアドレス」と、「宛先ポート番号」とを対応付けて記憶する。これらのうち、「プロトコル」は、例えば、ネットワーク通信における通信プロトコルである。ここでのネットワーク通信とは、図１に示したネットワークだけでなく、他の任意のシステムにおけるネットワークも含まれる。
【００２３】
また、「宛先ＦＱＤＮ」は、例えば、主にＨＴＴＰプロトコルに対応するＦＱＤＮである。また、「宛先ＩＰアドレス」は、例えば、各通信プロトコルにおけるネットワークの通信先のＩＰアドレスである。また、「宛先ポート番号」は、例えば、各宛先ＩＰアドレスに対応するポート番号である。
【００２４】
例を挙げると、マルウェア情報記憶部１１１は、プロトコル「ＩＲＣ」と、宛先ＩＰアドレス「ａ．ｂ．ｃ．ｄ」と、宛先ポート番号「１０３２４」とを対応付けて記憶する。他の例を挙げると、マルウェア情報記憶部１１１は、プロトコル「ＨＴＴＰ」と、宛先ＦＱＤＮ「ｗｗｗ．ｍａｌ．ｃｏｍ」と、宛先ＩＰアドレス「ｅ．ｆ．ｇ．ｈ」と、宛先ポート番号「８０」とを対応付けて記憶する。
【００２５】
図２の説明に戻り、検知部１２３は、例えば、特定部１２１によって特定されたポート番号が通信プロトコルに対応するＷｅｌｌ−Ｋｎｏｗｎポートではない場合に、特定部１２１によって特定された通信プロトコル及び宛先ポート番号と、取得部１２２によって取得された通信プロトコル及び宛先ポート番号とが一致するか否かを判定する。このとき、検知部１２３は、これらの情報が一致する場合に、ネットワーク通信を行なっている端末がマルウェアに感染していることを検知する。なお、マルウェアに感染していることを検知された端末については、特定部１２１で特定した送信元ＩＰアドレスを利用することにより識別できる。
【００２６】
また、検知部１２３は、特定部１２１によって特定された宛先ポート番号が通信プロトコルに対応するＷｅｌｌ−Ｋｎｏｗｎポートである場合に、通信プロトコル及びポート番号に加え、特定部１２１や取得部１２２それぞれで特定又は取得された宛先ＩＰアドレスが一致するか否かも判定する。このとき、検知部１２３は、宛先ＩＰアドレスも一致する場合に、ネットワーク通信を行なっている端末がマルウェアに感染していることを検知する。なお、マルウェアに感染していることを検知された端末については、同様に、特定部１２１で特定した送信元ＩＰアドレスを利用することにより識別できる。
【００２７】
また、マルウェアに感染した端末を検知した検知部１２３は、該当する通信プロトコルとポート番号とを新たなマルウェア情報として、マルウェア情報記憶部１１１に対応付けて登録しても良い。このとき、検知部１２３は、宛先ＩＰアドレスについても登録するようにしても良い。これにより、マルウェア感染端末検知装置１００によるその後のマルウェア感染端末検知に係る処理に活用することができる。
【００２８】
つまり、マルウェア情報記憶部１１１は、マルウェアによる通信を検知した他の装置或いはマルウェア感染端末検知装置１００によって事前に検知されたマルウェア情報を予め記憶するとともに、マルウェア感染端末検知装置１００によって検知されるマルウェア情報を記憶していくことになる。
【００２９】
［マルウェア感染端末検知処理の流れ］
次に、図４を用いて、実施例１に係るマルウェア感染端末検知処理を説明する。図４は、実施例１に係るマルウェア感染端末検知処理の流れの例を示すフローチャートである。
【００３０】
例えば、図４に示すように、マルウェア感染端末検知装置１００は、ネットワーク通信における所定の各種情報を特定する（ステップＳ１０１）。ここで、所定の各種情報とは、通信プロトコル及び宛先ポート番号の組み合わせ、又は、通信プロトコル、宛先ポート番号及び宛先ＩＰアドレスの組み合わせである。
【００３１】
そして、マルウェア感染端末検知装置１００は、特定した宛先ポート番号が通信プロトコルに対応するＷｅｌｌ−Ｋｎｏｗｎポートとは異なるか否かを判定する（ステップＳ１０２）。このとき、マルウェア感染端末検知装置１００は、Ｗｅｌｌ−Ｋｎｏｗｎポートとは異なる場合に（ステップＳ１０２肯定）、特定したプロトコル、宛先ポート番号がマルウェア情報に該当するか否かを判定する（ステップＳ１０３）。すなわち、マルウェア感染端末検知装置１００は、マルウェア情報記憶部１１１等からプロトコル及び宛先ポート番号を取得し、特定したプロトコル及び宛先ポート番号と一致するか否かを判定する。
【００３２】
このとき、マルウェア感染端末検知装置１００は、マルウェア情報に該当すると判定した場合に（ステップＳ１０３肯定）、ネットワーク通信を行なっている端末がマルウェアに感染していることを検知する（ステップＳ１０４）。一方、マルウェア感染端末検知装置１００は、マルウェア情報に該当しないと判定した場合に（ステップＳ１０３否定）、処理を終了する。
【００３３】
また、マルウェア感染端末検知装置１００は、Ｗｅｌｌ−Ｋｎｏｗｎポートである場合に（ステップＳ１０２否定）、特定したプロトコル、宛先ポート番号及び宛先ＩＰアドレスがマルウェア情報に該当するか否かを判定する（ステップＳ１０５）。すなわち、マルウェア感染端末検知装置１００は、マルウェア情報記憶部１１１等からプロトコル、宛先ポート番号及び宛先ＩＰアドレスを取得し、特定したプロトコル、宛先ポート番号及び宛先ＩＰアドレスと一致するか否かを判定する。
【００３４】
このとき、マルウェア感染端末検知装置１００は、マルウェア情報に該当すると判定した場合に（ステップＳ１０５肯定）、ネットワーク通信を行なっている端末がマルウェアに感染していることを検知する（ステップＳ１０４）。一方、マルウェア感染端末検知装置１００は、マルウェア情報に該当しないと判定した場合に（ステップＳ１０５否定）、処理を終了する。
【００３５】
［実施例１による効果］
上述したように、マルウェア感染端末検知装置１００は、通信プロトコルと宛先ポート番号とに基づいてマルウェアを検知するので、特徴的なペイロードのパターンに基づいてマルウェアを検知する従来技術と比較して、迅速にマルウェア感染端末を検知することができる。また、マルウェア感染端末検知装置１００は、通信プロトコルと宛先ポート番号とに基づいてマルウェアを検知するので、マルウェアに共通するペイロードのパターンが利用されないマルウェアについても検知することができ、マルウェア感染端末の検知精度を向上させることができる。
【００３６】
また、マルウェア感染端末検知装置１００は、Ｗｅｌｌ−Ｋｎｏｗｎポートとは異なる宛先ポート番号で行なわれる通信において、プロトコルと宛先ポート番号との組み合わせがマルウェア情報と一致する場合に、マルウェア感染端末からの通信として検知する。この結果、マルウェア感染端末検知装置１００は、Ｗｅｌｌ−Ｋｎｏｗｎポートとは異なる宛先ポート番号を利用した通信をマルウェア感染端末からの通信として一律に検知するために誤検知が多くなる従来技術と比較して、マルウェア感染端末の検知精度を向上させることができる。
【実施例２】
【００３７】
さて、これまで本発明に係るマルウェア感染端末検知装置１００の実施例について説明したが、上述した実施例以外にも種々の異なる形態にて実施されてよいものである。そこで、（１）帯域制御又は通信遮断、（２）処理順序、（３）マルウェア感染端末検知に係る判定、（４）構成、（５）プログラム、において異なる実施例を説明する。
【００３８】
（１）帯域制御又は通信遮断
上記実施例１では、ネットワーク通信を行なっている端末がマルウェアに感染していることを検知する場合を説明したが、マルウェア感染端末による通信として検知されたネットワーク通信に対して、帯域の制御又は通信の遮断をさらに実行しても良い。これにより、マルウェアに関するネットワーク通信の拡大を抑制することができる。また、検知されたマルウェア情報をネットワーク通信に対する帯域の制御又は通信の遮断に活用するだけでなく、ネットワークを監視する監視装置等の他の装置へ通知することにしても良い。
【００３９】
（２）処理順序
また、上記実施例１では、マルウェア感染端末を検知する際に宛先ポート番号がＷｅｌｌ−Ｋｎｏｗｎポートであるか否かを判定する場合を説明したが、かかる判定の処理についてはこの処理順序に限られるものではない。図５は、実施例２に係るマルウェア感染端末検知処理の流れの例を示すフローチャートである。
【００４０】
例えば、図５に示すように、マルウェア感染端末検知装置１００は、ネットワーク通信における所定の各種情報を特定する（ステップＳ２０１）。ここで、所定の各種情報とは、通信プロトコル及び宛先ポート番号の組み合わせ、又は、通信プロトコル、宛先ポート番号及び宛先ＩＰアドレスの組み合わせである。
【００４１】
そして、マルウェア感染端末検知装置１００は、特定したプロトコルがマルウェア情報に該当するか否かを判定する（ステップＳ２０２）。すなわち、マルウェア感染端末検知装置１００は、マルウェア情報記憶部１１１等からプロトコルを取得し、特定したプロトコルと一致するか否かを判定する。このとき、マルウェア感染端末検知装置１００は、マルウェア情報に該当する場合に（ステップＳ２０２肯定）、特定した宛先ＩＰアドレス、宛先ポート番号がマルウェア情報に該当するか否かを判定する（ステップＳ２０３）。すなわち、マルウェア感染端末検知装置１００は、マルウェア情報記憶部１１１等から取得したプロトコルに対応する宛先ＩＰアドレス、宛先ポート番号を取得し、特定した宛先ＩＰアドレス、宛先ポート番号と一致するか否かを判定する。
【００４２】
このとき、マルウェア感染端末検知装置１００は、マルウェア情報に該当する場合に（ステップＳ２０３肯定）、ネットワーク通信を行なっている端末がマルウェアに感染していることを検知する（ステップＳ２０６）。一方、マルウェア感染端末検知装置１００は、マルウェア情報に該当しない場合に（ステップＳ２０３否定）、特定した宛先ポート番号がＷｅｌｌ−Ｋｎｏｗｎポートとは異なるか否かを判定する（ステップＳ２０４）。ここで、マルウェア情報に該当しない場合（ステップＳ２０３否定）とは、宛先ＩＰアドレスと宛先ポート番号との少なくとも何れか一つが一致しなかったことを意味する。
【００４３】
このとき、マルウェア感染端末検知装置１００は、Ｗｅｌｌ−Ｋｎｏｗｎポートとは異なると判定した場合に（ステップＳ２０４肯定）、特定した宛先ポート番号がマルウェア情報に該当するか否かを判定する（ステップＳ２０５）。すなわち、マルウェア感染端末検知装置１００は、取得したポート番号が、Ｗｅｌｌ−Ｋｎｏｗｎポートではない特定した宛先ポート番号と一致するか否かを判定する。このとき、マルウェア感染端末検知装置１００は、マルウェア情報に該当する場合に（ステップＳ２０５肯定）、ネットワーク通信を行なっている端末がマルウェアに感染していることを検知する（ステップＳ２０６）。
【００４４】
また、マルウェア感染端末検知装置１００は、マルウェア情報に該当しない場合（ステップＳ２０２否定，ステップＳ２０５否定）、又は、特定した宛先ポート番号がＷｅｌｌ−Ｋｎｏｗｎポートである場合に（ステップＳ２０４否定）、処理を終了する。なお、ステップＳ２０２〜ステップＳ２０５の処理は、適宜、順序を入れ替えて実行されても良い。
【００４５】
（３）マルウェア感染端末検知に係る判定
また、上記実施例では、通信プロトコルと宛先ポート番号との組み合わせが、マルウェア情報に該当するか否かによりマルウェア感染端末を検知する場合を説明したが、通信プロトコルと宛先ＩＰアドレスとの組み合わせが、マルウェア情報に該当するか否かによりマルウェア感染端末を検知しても良い。
【００４６】
また、このとき、通信プロトコルと、宛先ＩＰアドレスと、さらに宛先ポート番号とを対応付けてマルウェア情報記憶部１１１等に登録し、その後、通信プロトコルと宛先ポート番号との組み合わせが、マルウェア情報に該当するか否かによりマルウェア感染端末を検知するようにしても良い。
【００４７】
また、このようにしてマルウェア情報記憶部１１１に登録された通信プロトコル、宛先ＩＰアドレス及び宛先ポート番号は、その後のマルウェア感染端末検知処理において、マルウェア情報として利用される。すなわち、マルウェア情報記憶部１１１に登録されたマルウェア情報は、通信プロトコルと宛先ポート番号との組み合わせ、通信プロトコルと宛先ＩＰアドレスとの組み合わせ、通信プロトコルと宛先ポート番号と宛先ＩＰアドレスとの組み合わせで、マルウェア感染端末検知に係る判定に利用される。
【００４８】
また、上述してきたマルウェア感染端末検知処理は、通信プロトコルに対応する宛先ポート番号がＷｅｌｌ−Ｋｎｏｗｎポートでない場合だけでなく、Ｗｅｌｌ−Ｋｎｏｗｎポートである場合に実行されても良い。
【００４９】
（４）構成
また、上記文書中や図面中等で示した処理手順、制御手順、具体的名称、各種のデータやパラメタ等を含む情報（例えば、マルウェア情報記憶部１１１に記憶される情報等）については、特記する場合を除いて任意に変更することができる。
【００５０】
また、図示したマルウェア感染端末検知装置１００の各構成要素は、機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は、図示のものに限られず、その全部又は一部を各種の負担や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合することができる。
【００５１】
図６は、実施例２に係るシステム構成例を示す図である。例えば、図６に示すように、実施例２に係るマルウェア感染端末検知装置は、内部ネットワークと外部ネットワークとのインラインに配置されても良い。このとき、実施例２に係るマルウェア感染端末検知装置の各構成要素やその機能は実施例１と同様のものとなる。すなわち、実施例２に係るマルウェア感染端末検知装置は、ネットワークタップ等を経由せずに、ネットワーク上のパケットのペイロードから各種情報を特定し、マルウェア情報に該当するか否かを判定して、マルウェアを検知することになる。
【００５２】
また、マルウェア感染端末検知装置１００にて行われる各処理機能は、その全部又は任意の一部が、ＣＰＵ及び該ＣＰＵにて解析実行されるプログラムにて実現され、或いは、ワイヤードロジックによるハードウェアとして実現され得る。
【００５３】
（５）プログラム
図７は、本発明に係るマルウェア感染端末検知プログラムがコンピュータを用いて具体的に実現されることを示す図である。図７に例示するように、コンピュータ１０００は、例えば、メモリ１００１と、ＣＰＵ１００２と、ハードディスクドライブインタフェース１００３と、ディスクドライブインタフェース１００４と、シリアルポートインタフェース１００５と、ビデオアダプタ１００６と、ネットワークインタフェース１００７とを有し、これらの各部はバス１００８によって接続される。
【００５４】
メモリ１００１は、図７に例示するように、ＲＯＭ１００１ａ及びＲＡＭ１００１ｂを含む。ＲＯＭ１００１ａは、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１００３は、図７に例示するように、ハードディスクドライブ１００９に接続される。ディスクドライブインタフェース１００４は、図７に例示するように、ディスクドライブ１０１０に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１０１０に挿入される。シリアルポートインタフェース１００５は、図７に例示するように、例えばマウス１０１１、キーボード１０１２に接続される。ビデオアダプタ１００６は、図７に例示するように、例えばディスプレイ１０１３に接続される。
【００５５】
ここで、図７に例示するように、ハードディスクドライブ１００９は、例えば、ＯＳ（Operating System）１００９ａ、アプリケーションプログラム１００９ｂ、プログラムモジュール１００９ｃ、プログラムデータ１００９ｄを記憶する。すなわち、本発明に係るマルウェア感染端末検知プログラムは、コンピュータ１０００によって実行される指令が記述されたプログラムモジュール１００９ｃとして、例えばハードディスクドライブ１００９に記憶される。具体的には、上記実施例で説明した特定部１２１と同様の処理を実行する特定手順と、取得部１２２と同様の処理を実行する取得手順と、検知部１２３と同様の処理を実行する検知手順とが記述されたプログラムモジュール１００９ｃが、ハードディスクドライブ１００９に記憶される。また、上記実施例で説明したマルウェア情報記憶部１１１に記憶されるデータのように、マルウェア感染端末検知プログラムによる処理に用いられるデータは、プログラムデータ１００９ｄとして、例えばハードディスクドライブ１００９に記憶される。そして、ＣＰＵ１００２が、ハードディスクドライブ１００９に記憶されたプログラムモジュール１００９ｃやプログラムデータ１００９ｄを必要に応じてＲＡＭ１００１ｂに読み出し、特定手順、取得手順、検知手順を実行する。
【００５６】
なお、マルウェア感染端末検知プログラムに係るプログラムモジュール１００９ｃやプログラムデータ１００９ｄは、ハードディスクドライブ１００９に記憶される場合に限られず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１０１０等を介してＣＰＵ１００２によって読み出されてもよい。あるいは、マルウェア感染端末検知プログラムに係るプログラムモジュール１００９ｃやプログラムデータ１００９ｄは、ネットワーク（ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）等）を介して接続された他のコンピュータに記憶され、ネットワークインタフェース１００７を介してＣＰＵ１００２によって読み出されてもよい。
【符号の説明】
【００５７】
１００ マルウェア感染端末検知装置
１１０ 記憶部
１１１ マルウェア情報記憶部
１２０ 制御部
１２１ 特定部
１２２ 取得部
１２３ 検知部
【技術分野】
【０００１】
本発明は、マルウェア感染端末検知装置、マルウェア感染端末検知方法及びマルウェア感染端末検知プログラムに関する。
【背景技術】
【０００２】
従来、情報漏洩や不正アクセス等の脅威をもたらすコンピュータウィルスやスパイウェア、ボットプログラムといった悪意のある不正なコンピュータプログラム（以下、「マルウェア」と呼ぶことがある）が猛威を振るっている。
【０００３】
マルウェアによる脅威を抑制するためには、マルウェアに感染した端末からマルウェアを駆除することが重要である。マルウェアを駆除するために、ユーザは、一つの様態として、マルウェアに感染した端末に対して、アンチウィルスソフトウェア等を利用して対処してきた。ところが、１．４秒に１件の新種マルウェアが出現しているという報告もある（非特許文献１）ことから、アンチウィルスソフトウェアで検知するだけでは対応が追いつかないことが多い。このため、端末ごとにおける対応だけでなく、マルウェアに感染した端末をネットワーク側から検出し、対処することが好ましい。
【０００４】
マルウェアには、例えば、ＩＲＣ（Internet Relay Chat）やＨＴＴＰ（HyperText Transfer Protocol）等のように、一般に用いられるプロトコルで通信するものがある（非特許文献２）。このようなプロトコルの利用によりマルウェアに感染した端末の通信をネットワーク上で検知する手法としては、例えば、マルウェアの一種であるボットがＣ＆Ｃ（Command And Control）サーバと通信する際の特徴的なペイロードを判定基準とするものがある。
【０００５】
具体的に、特徴的なペイロードとしては、マルウェアとＣ＆ＣサーバとがＩＲＣプロトコルにより通信する際のＮＩＣＫ（nickname）や、Ｃ＆Ｃサーバから送信されるＴＯＰＩＣ等が挙げられる。そして、多くのマルウェアに共通するペイロードのパターンが含まれている場合には、該当のプログラムをマルウェアとして検知する。
【０００６】
また、主要な通信プロトコルで使用されるＷｅｌｌ−Ｋｎｏｗｎポートとは異なるポートで行なわれる通信をマルウェアの判定基準とすることが考えられる（非特許文献３）。
【先行技術文献】
【非特許文献】
【０００７】
【非特許文献１】“McAfee脅威レポート：２０１０年第三四半期”、［online］、［平成２３年４月６日検索］、インターネット＜http://www.macafee.com/japan/security/threateport10q3.asp＞
【非特許文献２】Jan Goebel、Thorsten Holz、“Rishi：Identify Bot Contaminated Hosts by IRC Nickname Evaluation”、USENIX First Workshop on Hot Topic in Understanding Botnets（HotBots ’07）、2007．4．10
【非特許文献３】Holger Dreger、Anja Feldmann、Michael Mai、Vern Paxson、Robin Sommer、“Dynamic Application‐Layer Protocol Analysis for Network Intrusion Detection”、15th USENIX Security Symposium、2006．8．4
【発明の概要】
【発明が解決しようとする課題】
【０００８】
従来技術では、迅速にマルウェア感染端末を検知することができないという問題がある。具体的には、従来技術では、マルウェアに共通するペイロードのパターンを検出するために、特徴的なペイロードを利用しているものの、新種のマルウェアの出現数は膨大であるためそのパターンを網羅することは困難である。また、そもそも、従来技術では、マルウェアに共通するペイロードのパターンが利用されないものについては検知することができない。また、従来技術では、例えば、ＩＲＣやＨＴＴＰ等の通信において、マルウェアに感染していないユーザであっても、Ｗｅｌｌ−Ｋｎｏｗｎポートとは異なるポートで通信を行なうこともあるため、Ｗｅｌｌ−Ｋｎｏｗｎポートとは異なるポートの通信を一纏めにマルウェアの判定基準とするのは好ましくない。
【０００９】
そこで、本発明は、上記に鑑みてなされたものであって、迅速にマルウェア感染端末を検知することが可能であるマルウェア感染端末検知装置、マルウェア感染端末検知方法及びマルウェア感染端末検知プログラムを提供することを目的とする。
【課題を解決するための手段】
【００１０】
上述した課題を解決し、目的を達成するため、本発明に係るマルウェア感染端末検知装置は、ネットワーク通信における通信プロトコルと、該ネットワーク通信で利用されるポート番号とを特定する特定部と、マルウェアを動作させたときに該マルウェアが関与した通信の通信プロトコルと、該マルウェアが関与した通信で利用されたポート番号とを取得する取得部と、前記特定部で特定されたポート番号が前記通信プロトコルに対応するＷｅｌｌ−Ｋｎｏｗｎポートではない場合、且つ、前記特定部で特定された通信プロトコル及びポート番号と、前記取得部で取得された通信プロトコル及びポート番号とが一致する場合に、前記ネットワーク通信を行なっている端末がマルウェアに感染していることを検知する検知部とを有する。
【発明の効果】
【００１１】
本発明に係るマルウェア感染端末検知装置、マルウェア感染端末検知方法及びマルウェア感染端末検知プログラムの一つの様態によれば、迅速にマルウェア感染端末を検知することができるという効果を奏する。
【図面の簡単な説明】
【００１２】
【図１】図１は、実施例１に係るシステム構成例を示す図である。
【図２】図２は、実施例１に係るマルウェア感染端末検知装置の構成例を示す図である。
【図３】図３は、マルウェア情報記憶部によって記憶される情報の例を示す図である。
【図４】図４は、実施例１に係るマルウェア感染端末検知処理の流れの例を示すフローチャートである。
【図５】図５は、実施例２に係るマルウェア感染端末検知処理の流れの例を示すフローチャートである。
【図６】図６は、実施例２に係るシステム構成例を示す図である。
【図７】図７は、本発明に係るマルウェア感染端末検知プログラムがコンピュータを用いて具体的に実現されることを示す図である。
【発明を実施するための形態】
【００１３】
以下に添付図面を参照して、本発明に係るマルウェア感染端末検知装置、マルウェア感染端末検知方法及びマルウェア感染端末検知プログラムの実施例を説明する。なお、以下の実施例により本発明が限定されるものではない。
【実施例１】
【００１４】
［システム構成］
図１を用いて、実施例１に係るシステム構成を説明する。図１は、実施例１に係るシステム構成例を示す図である。
【００１５】
例えば、図１に示すように、本発明に係るマルウェア感染端末検知装置は、内部ネットワークと外部ネットワークとのネットワークにおけるパケットを分岐するネットワークタップに接続される。かかるネットワークタップは、各種のネットワークにおけるパケットの分岐を、ネットワークに影響を及ぼすことなく実行できる。すなわち、ネットワークタップは、ネットワーク上のパケットを遅延させたり、接続されるネットワーク機器に負荷を与えたりしない。なお、ネットワークを流れるパケットを分岐できる機器であれば良いため、ネットワークタップに限られるものではない。
【００１６】
上記構成において、マルウェア感染端末検知装置は、ネットワーク通信における通信プロトコルと、該ネットワーク通信で利用されるポート番号とを特定する。そして、マルウェア感染端末検知装置は、マルウェアを動作させたときに該マルウェアが関与した通信の通信プロトコルと、該マルウェアが関与した通信で利用されたポート番号とを取得する。続いて、マルウェア感染端末検知装置は、特定されたポート番号が通信プロトコルに対応するＷｅｌｌ−Ｋｎｏｗｎポートではない場合、且つ、特定された通信プロトコル及びポート番号と、取得された通信プロトコル及びポート番号とが一致する場合に、ネットワーク通信を行なっている端末がマルウェアに感染していることを検知する。なお、マルウェア感染端末検知装置による詳細な処理については後述する。
【００１７】
［マルウェア感染端末検知装置の構成］
次に、図２を用いて、実施例１に係るマルウェア感染端末検知装置の構成を説明する。図２は、実施例１に係るマルウェア感染端末検知装置の構成例を示す図である。
【００１８】
例えば、図２に示すように、マルウェア感染端末検知装置１００は、記憶部１１０と、制御部１２０とを有する。記憶部１１０は、例えば、制御部１２０による各種処理に要するデータや、制御部１２０による各種処理結果を記憶する。また、記憶部１１０は、例えば、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、フラッシュメモリ（Flash Memory）等の半導体メモリ素子、又は、ハードディスク、光ディスク等の記憶装置である。かかる記憶部１１０には、マルウェア情報記憶部１１１が含まれる。
【００１９】
制御部１２０は、例えば、制御プログラム、各種の処理手順等を規定したプログラム及び所要データを格納するための内部メモリを有する。また、制御部１２０は、例えば、ＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）等の集積回路、又はＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）等の電子回路である。かかる制御部１２０には、特定部１２１と、取得部１２２と、検知部１２３とが含まれる。
【００２０】
特定部１２１は、例えば、ネットワークタップ等により分岐されたパケットのペイロードを分析し、ネットワーク通信における通信プロトコルを特定する。同様に、特定部１２１は、ネットワーク通信で利用される宛先ポート番号を特定する。また、特定部１２１は、ネットワーク通信における送信元ＩＰアドレスと、宛先ＩＰアドレスとをさらに特定する。そして、特定部１２１は、上記各種情報を特定した場合に特定した旨を取得部１２２に通知するとともに、特定した各種情報を検知部１２３に通知する。
【００２１】
取得部１２２は、例えば、特定部１２１からの通知を受けると、マルウェアを動作させたときに該マルウェアが関与した通信の通信プロトコルを取得する。同様に、取得部１２２は、マルウェアが関与した通信で利用された宛先ポート番号を取得する。また、取得部１２２は、マルウェアが関与した通信で利用される宛先ＩＰアドレスをさらに取得する。そして、取得部１２２は、取得した各種情報を検知部１２３に通知する。取得部１２２が取得する各種情報は、一つの様態として、マルウェア情報記憶部１１１に記憶される。他の様態として、取得部１２２が取得する各種情報は、マルウェア感染端末検知装置１００に接続される外部の記憶装置やネットワーク上のサーバ装置等に記憶される。
【００２２】
図３は、マルウェア情報記憶部１１１によって記憶される情報の例を示す図である。例えば、図３に示すように、マルウェア情報記憶部１１１は、「プロトコル」と、「宛先ＦＱＤＮ（Fully Qualified Domain Name）」と、「宛先ＩＰアドレス」と、「宛先ポート番号」とを対応付けて記憶する。これらのうち、「プロトコル」は、例えば、ネットワーク通信における通信プロトコルである。ここでのネットワーク通信とは、図１に示したネットワークだけでなく、他の任意のシステムにおけるネットワークも含まれる。
【００２３】
また、「宛先ＦＱＤＮ」は、例えば、主にＨＴＴＰプロトコルに対応するＦＱＤＮである。また、「宛先ＩＰアドレス」は、例えば、各通信プロトコルにおけるネットワークの通信先のＩＰアドレスである。また、「宛先ポート番号」は、例えば、各宛先ＩＰアドレスに対応するポート番号である。
【００２４】
例を挙げると、マルウェア情報記憶部１１１は、プロトコル「ＩＲＣ」と、宛先ＩＰアドレス「ａ．ｂ．ｃ．ｄ」と、宛先ポート番号「１０３２４」とを対応付けて記憶する。他の例を挙げると、マルウェア情報記憶部１１１は、プロトコル「ＨＴＴＰ」と、宛先ＦＱＤＮ「ｗｗｗ．ｍａｌ．ｃｏｍ」と、宛先ＩＰアドレス「ｅ．ｆ．ｇ．ｈ」と、宛先ポート番号「８０」とを対応付けて記憶する。
【００２５】
図２の説明に戻り、検知部１２３は、例えば、特定部１２１によって特定されたポート番号が通信プロトコルに対応するＷｅｌｌ−Ｋｎｏｗｎポートではない場合に、特定部１２１によって特定された通信プロトコル及び宛先ポート番号と、取得部１２２によって取得された通信プロトコル及び宛先ポート番号とが一致するか否かを判定する。このとき、検知部１２３は、これらの情報が一致する場合に、ネットワーク通信を行なっている端末がマルウェアに感染していることを検知する。なお、マルウェアに感染していることを検知された端末については、特定部１２１で特定した送信元ＩＰアドレスを利用することにより識別できる。
【００２６】
また、検知部１２３は、特定部１２１によって特定された宛先ポート番号が通信プロトコルに対応するＷｅｌｌ−Ｋｎｏｗｎポートである場合に、通信プロトコル及びポート番号に加え、特定部１２１や取得部１２２それぞれで特定又は取得された宛先ＩＰアドレスが一致するか否かも判定する。このとき、検知部１２３は、宛先ＩＰアドレスも一致する場合に、ネットワーク通信を行なっている端末がマルウェアに感染していることを検知する。なお、マルウェアに感染していることを検知された端末については、同様に、特定部１２１で特定した送信元ＩＰアドレスを利用することにより識別できる。
【００２７】
また、マルウェアに感染した端末を検知した検知部１２３は、該当する通信プロトコルとポート番号とを新たなマルウェア情報として、マルウェア情報記憶部１１１に対応付けて登録しても良い。このとき、検知部１２３は、宛先ＩＰアドレスについても登録するようにしても良い。これにより、マルウェア感染端末検知装置１００によるその後のマルウェア感染端末検知に係る処理に活用することができる。
【００２８】
つまり、マルウェア情報記憶部１１１は、マルウェアによる通信を検知した他の装置或いはマルウェア感染端末検知装置１００によって事前に検知されたマルウェア情報を予め記憶するとともに、マルウェア感染端末検知装置１００によって検知されるマルウェア情報を記憶していくことになる。
【００２９】
［マルウェア感染端末検知処理の流れ］
次に、図４を用いて、実施例１に係るマルウェア感染端末検知処理を説明する。図４は、実施例１に係るマルウェア感染端末検知処理の流れの例を示すフローチャートである。
【００３０】
例えば、図４に示すように、マルウェア感染端末検知装置１００は、ネットワーク通信における所定の各種情報を特定する（ステップＳ１０１）。ここで、所定の各種情報とは、通信プロトコル及び宛先ポート番号の組み合わせ、又は、通信プロトコル、宛先ポート番号及び宛先ＩＰアドレスの組み合わせである。
【００３１】
そして、マルウェア感染端末検知装置１００は、特定した宛先ポート番号が通信プロトコルに対応するＷｅｌｌ−Ｋｎｏｗｎポートとは異なるか否かを判定する（ステップＳ１０２）。このとき、マルウェア感染端末検知装置１００は、Ｗｅｌｌ−Ｋｎｏｗｎポートとは異なる場合に（ステップＳ１０２肯定）、特定したプロトコル、宛先ポート番号がマルウェア情報に該当するか否かを判定する（ステップＳ１０３）。すなわち、マルウェア感染端末検知装置１００は、マルウェア情報記憶部１１１等からプロトコル及び宛先ポート番号を取得し、特定したプロトコル及び宛先ポート番号と一致するか否かを判定する。
【００３２】
このとき、マルウェア感染端末検知装置１００は、マルウェア情報に該当すると判定した場合に（ステップＳ１０３肯定）、ネットワーク通信を行なっている端末がマルウェアに感染していることを検知する（ステップＳ１０４）。一方、マルウェア感染端末検知装置１００は、マルウェア情報に該当しないと判定した場合に（ステップＳ１０３否定）、処理を終了する。
【００３３】
また、マルウェア感染端末検知装置１００は、Ｗｅｌｌ−Ｋｎｏｗｎポートである場合に（ステップＳ１０２否定）、特定したプロトコル、宛先ポート番号及び宛先ＩＰアドレスがマルウェア情報に該当するか否かを判定する（ステップＳ１０５）。すなわち、マルウェア感染端末検知装置１００は、マルウェア情報記憶部１１１等からプロトコル、宛先ポート番号及び宛先ＩＰアドレスを取得し、特定したプロトコル、宛先ポート番号及び宛先ＩＰアドレスと一致するか否かを判定する。
【００３４】
このとき、マルウェア感染端末検知装置１００は、マルウェア情報に該当すると判定した場合に（ステップＳ１０５肯定）、ネットワーク通信を行なっている端末がマルウェアに感染していることを検知する（ステップＳ１０４）。一方、マルウェア感染端末検知装置１００は、マルウェア情報に該当しないと判定した場合に（ステップＳ１０５否定）、処理を終了する。
【００３５】
［実施例１による効果］
上述したように、マルウェア感染端末検知装置１００は、通信プロトコルと宛先ポート番号とに基づいてマルウェアを検知するので、特徴的なペイロードのパターンに基づいてマルウェアを検知する従来技術と比較して、迅速にマルウェア感染端末を検知することができる。また、マルウェア感染端末検知装置１００は、通信プロトコルと宛先ポート番号とに基づいてマルウェアを検知するので、マルウェアに共通するペイロードのパターンが利用されないマルウェアについても検知することができ、マルウェア感染端末の検知精度を向上させることができる。
【００３６】
また、マルウェア感染端末検知装置１００は、Ｗｅｌｌ−Ｋｎｏｗｎポートとは異なる宛先ポート番号で行なわれる通信において、プロトコルと宛先ポート番号との組み合わせがマルウェア情報と一致する場合に、マルウェア感染端末からの通信として検知する。この結果、マルウェア感染端末検知装置１００は、Ｗｅｌｌ−Ｋｎｏｗｎポートとは異なる宛先ポート番号を利用した通信をマルウェア感染端末からの通信として一律に検知するために誤検知が多くなる従来技術と比較して、マルウェア感染端末の検知精度を向上させることができる。
【実施例２】
【００３７】
さて、これまで本発明に係るマルウェア感染端末検知装置１００の実施例について説明したが、上述した実施例以外にも種々の異なる形態にて実施されてよいものである。そこで、（１）帯域制御又は通信遮断、（２）処理順序、（３）マルウェア感染端末検知に係る判定、（４）構成、（５）プログラム、において異なる実施例を説明する。
【００３８】
（１）帯域制御又は通信遮断
上記実施例１では、ネットワーク通信を行なっている端末がマルウェアに感染していることを検知する場合を説明したが、マルウェア感染端末による通信として検知されたネットワーク通信に対して、帯域の制御又は通信の遮断をさらに実行しても良い。これにより、マルウェアに関するネットワーク通信の拡大を抑制することができる。また、検知されたマルウェア情報をネットワーク通信に対する帯域の制御又は通信の遮断に活用するだけでなく、ネットワークを監視する監視装置等の他の装置へ通知することにしても良い。
【００３９】
（２）処理順序
また、上記実施例１では、マルウェア感染端末を検知する際に宛先ポート番号がＷｅｌｌ−Ｋｎｏｗｎポートであるか否かを判定する場合を説明したが、かかる判定の処理についてはこの処理順序に限られるものではない。図５は、実施例２に係るマルウェア感染端末検知処理の流れの例を示すフローチャートである。
【００４０】
例えば、図５に示すように、マルウェア感染端末検知装置１００は、ネットワーク通信における所定の各種情報を特定する（ステップＳ２０１）。ここで、所定の各種情報とは、通信プロトコル及び宛先ポート番号の組み合わせ、又は、通信プロトコル、宛先ポート番号及び宛先ＩＰアドレスの組み合わせである。
【００４１】
そして、マルウェア感染端末検知装置１００は、特定したプロトコルがマルウェア情報に該当するか否かを判定する（ステップＳ２０２）。すなわち、マルウェア感染端末検知装置１００は、マルウェア情報記憶部１１１等からプロトコルを取得し、特定したプロトコルと一致するか否かを判定する。このとき、マルウェア感染端末検知装置１００は、マルウェア情報に該当する場合に（ステップＳ２０２肯定）、特定した宛先ＩＰアドレス、宛先ポート番号がマルウェア情報に該当するか否かを判定する（ステップＳ２０３）。すなわち、マルウェア感染端末検知装置１００は、マルウェア情報記憶部１１１等から取得したプロトコルに対応する宛先ＩＰアドレス、宛先ポート番号を取得し、特定した宛先ＩＰアドレス、宛先ポート番号と一致するか否かを判定する。
【００４２】
このとき、マルウェア感染端末検知装置１００は、マルウェア情報に該当する場合に（ステップＳ２０３肯定）、ネットワーク通信を行なっている端末がマルウェアに感染していることを検知する（ステップＳ２０６）。一方、マルウェア感染端末検知装置１００は、マルウェア情報に該当しない場合に（ステップＳ２０３否定）、特定した宛先ポート番号がＷｅｌｌ−Ｋｎｏｗｎポートとは異なるか否かを判定する（ステップＳ２０４）。ここで、マルウェア情報に該当しない場合（ステップＳ２０３否定）とは、宛先ＩＰアドレスと宛先ポート番号との少なくとも何れか一つが一致しなかったことを意味する。
【００４３】
このとき、マルウェア感染端末検知装置１００は、Ｗｅｌｌ−Ｋｎｏｗｎポートとは異なると判定した場合に（ステップＳ２０４肯定）、特定した宛先ポート番号がマルウェア情報に該当するか否かを判定する（ステップＳ２０５）。すなわち、マルウェア感染端末検知装置１００は、取得したポート番号が、Ｗｅｌｌ−Ｋｎｏｗｎポートではない特定した宛先ポート番号と一致するか否かを判定する。このとき、マルウェア感染端末検知装置１００は、マルウェア情報に該当する場合に（ステップＳ２０５肯定）、ネットワーク通信を行なっている端末がマルウェアに感染していることを検知する（ステップＳ２０６）。
【００４４】
また、マルウェア感染端末検知装置１００は、マルウェア情報に該当しない場合（ステップＳ２０２否定，ステップＳ２０５否定）、又は、特定した宛先ポート番号がＷｅｌｌ−Ｋｎｏｗｎポートである場合に（ステップＳ２０４否定）、処理を終了する。なお、ステップＳ２０２〜ステップＳ２０５の処理は、適宜、順序を入れ替えて実行されても良い。
【００４５】
（３）マルウェア感染端末検知に係る判定
また、上記実施例では、通信プロトコルと宛先ポート番号との組み合わせが、マルウェア情報に該当するか否かによりマルウェア感染端末を検知する場合を説明したが、通信プロトコルと宛先ＩＰアドレスとの組み合わせが、マルウェア情報に該当するか否かによりマルウェア感染端末を検知しても良い。
【００４６】
また、このとき、通信プロトコルと、宛先ＩＰアドレスと、さらに宛先ポート番号とを対応付けてマルウェア情報記憶部１１１等に登録し、その後、通信プロトコルと宛先ポート番号との組み合わせが、マルウェア情報に該当するか否かによりマルウェア感染端末を検知するようにしても良い。
【００４７】
また、このようにしてマルウェア情報記憶部１１１に登録された通信プロトコル、宛先ＩＰアドレス及び宛先ポート番号は、その後のマルウェア感染端末検知処理において、マルウェア情報として利用される。すなわち、マルウェア情報記憶部１１１に登録されたマルウェア情報は、通信プロトコルと宛先ポート番号との組み合わせ、通信プロトコルと宛先ＩＰアドレスとの組み合わせ、通信プロトコルと宛先ポート番号と宛先ＩＰアドレスとの組み合わせで、マルウェア感染端末検知に係る判定に利用される。
【００４８】
また、上述してきたマルウェア感染端末検知処理は、通信プロトコルに対応する宛先ポート番号がＷｅｌｌ−Ｋｎｏｗｎポートでない場合だけでなく、Ｗｅｌｌ−Ｋｎｏｗｎポートである場合に実行されても良い。
【００４９】
（４）構成
また、上記文書中や図面中等で示した処理手順、制御手順、具体的名称、各種のデータやパラメタ等を含む情報（例えば、マルウェア情報記憶部１１１に記憶される情報等）については、特記する場合を除いて任意に変更することができる。
【００５０】
また、図示したマルウェア感染端末検知装置１００の各構成要素は、機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は、図示のものに限られず、その全部又は一部を各種の負担や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合することができる。
【００５１】
図６は、実施例２に係るシステム構成例を示す図である。例えば、図６に示すように、実施例２に係るマルウェア感染端末検知装置は、内部ネットワークと外部ネットワークとのインラインに配置されても良い。このとき、実施例２に係るマルウェア感染端末検知装置の各構成要素やその機能は実施例１と同様のものとなる。すなわち、実施例２に係るマルウェア感染端末検知装置は、ネットワークタップ等を経由せずに、ネットワーク上のパケットのペイロードから各種情報を特定し、マルウェア情報に該当するか否かを判定して、マルウェアを検知することになる。
【００５２】
また、マルウェア感染端末検知装置１００にて行われる各処理機能は、その全部又は任意の一部が、ＣＰＵ及び該ＣＰＵにて解析実行されるプログラムにて実現され、或いは、ワイヤードロジックによるハードウェアとして実現され得る。
【００５３】
（５）プログラム
図７は、本発明に係るマルウェア感染端末検知プログラムがコンピュータを用いて具体的に実現されることを示す図である。図７に例示するように、コンピュータ１０００は、例えば、メモリ１００１と、ＣＰＵ１００２と、ハードディスクドライブインタフェース１００３と、ディスクドライブインタフェース１００４と、シリアルポートインタフェース１００５と、ビデオアダプタ１００６と、ネットワークインタフェース１００７とを有し、これらの各部はバス１００８によって接続される。
【００５４】
メモリ１００１は、図７に例示するように、ＲＯＭ１００１ａ及びＲＡＭ１００１ｂを含む。ＲＯＭ１００１ａは、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１００３は、図７に例示するように、ハードディスクドライブ１００９に接続される。ディスクドライブインタフェース１００４は、図７に例示するように、ディスクドライブ１０１０に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１０１０に挿入される。シリアルポートインタフェース１００５は、図７に例示するように、例えばマウス１０１１、キーボード１０１２に接続される。ビデオアダプタ１００６は、図７に例示するように、例えばディスプレイ１０１３に接続される。
【００５５】
ここで、図７に例示するように、ハードディスクドライブ１００９は、例えば、ＯＳ（Operating System）１００９ａ、アプリケーションプログラム１００９ｂ、プログラムモジュール１００９ｃ、プログラムデータ１００９ｄを記憶する。すなわち、本発明に係るマルウェア感染端末検知プログラムは、コンピュータ１０００によって実行される指令が記述されたプログラムモジュール１００９ｃとして、例えばハードディスクドライブ１００９に記憶される。具体的には、上記実施例で説明した特定部１２１と同様の処理を実行する特定手順と、取得部１２２と同様の処理を実行する取得手順と、検知部１２３と同様の処理を実行する検知手順とが記述されたプログラムモジュール１００９ｃが、ハードディスクドライブ１００９に記憶される。また、上記実施例で説明したマルウェア情報記憶部１１１に記憶されるデータのように、マルウェア感染端末検知プログラムによる処理に用いられるデータは、プログラムデータ１００９ｄとして、例えばハードディスクドライブ１００９に記憶される。そして、ＣＰＵ１００２が、ハードディスクドライブ１００９に記憶されたプログラムモジュール１００９ｃやプログラムデータ１００９ｄを必要に応じてＲＡＭ１００１ｂに読み出し、特定手順、取得手順、検知手順を実行する。
【００５６】
なお、マルウェア感染端末検知プログラムに係るプログラムモジュール１００９ｃやプログラムデータ１００９ｄは、ハードディスクドライブ１００９に記憶される場合に限られず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１０１０等を介してＣＰＵ１００２によって読み出されてもよい。あるいは、マルウェア感染端末検知プログラムに係るプログラムモジュール１００９ｃやプログラムデータ１００９ｄは、ネットワーク（ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）等）を介して接続された他のコンピュータに記憶され、ネットワークインタフェース１００７を介してＣＰＵ１００２によって読み出されてもよい。
【符号の説明】
【００５７】
１００ マルウェア感染端末検知装置
１１０ 記憶部
１１１ マルウェア情報記憶部
１２０ 制御部
１２１ 特定部
１２２ 取得部
１２３ 検知部
【特許請求の範囲】
【請求項１】
ネットワーク通信における通信プロトコルと、該ネットワーク通信で利用されるポート番号とを特定する特定部と、
マルウェアを動作させたときに該マルウェアが関与した通信の通信プロトコルと、該マルウェアが関与した通信で利用されたポート番号とを取得する取得部と、
前記特定部で特定されたポート番号が前記通信プロトコルに対応するＷｅｌｌ−Ｋｎｏｗｎポートではない場合、且つ、前記特定部で特定された通信プロトコル及びポート番号と、前記取得部で取得された通信プロトコル及びポート番号とが一致する場合に、前記ネットワーク通信を行なっている端末がマルウェアに感染していることを検知する検知部と
を有することを特徴とするマルウェア感染端末検知装置。
【請求項２】
前記特定部は、前記ネットワーク通信における宛先ＩＰアドレスをさらに特定し、
前記取得部は、前記マルウェアが関与した通信における宛先ＩＰアドレスをさらに取得し、
前記検知部は、前記特定部で特定されたポート番号が前記通信プロトコルに対応するＷｅｌｌ−Ｋｎｏｗｎポートである場合、且つ、前記特定部で特定された通信プロトコル、ポート番号及び宛先ＩＰアドレスと、前記取得部で取得された通信プロトコル、ポート番号及び宛先ＩＰアドレスとが一致する場合に、前記ネットワーク通信を行なっている端末がマルウェアに感染していることを検知することを特徴とする請求項１に記載のマルウェア感染端末検知装置。
【請求項３】
前記検知部は、マルウェアに感染している端末による通信として検知した前記ネットワーク通信における通信プロトコルと、該ネットワーク通信で利用されるポート番号と、該ネットワーク通信における宛先ＩＰアドレスとをマルウェア情報として対応付けて記憶部に登録し、
前記特定部は、前記ネットワーク通信における宛先ＩＰアドレスをさらに特定し、
前記取得部は、前記検知部によって前記記憶部に登録された宛先ＩＰアドレスを含むマルウェア情報をさらに取得し、
前記検知部は、前記特定部で特定された通信プロトコル、ポート番号及び宛先ＩＰアドレスと、前記取得部で取得された通信プロトコル、ポート番号及び宛先ＩＰアドレスとが一致する場合に、前記ネットワーク通信を行なっている端末がマルウェアに感染していることを検知することを特徴とする請求項１に記載のマルウェア感染端末検知装置。
【請求項４】
前記検知部によってマルウェアに感染している端末による通信として検知された前記ネットワーク通信に対して、帯域の制御又は通信の遮断を実行する通信制御部をさらに有することを特徴とする請求項１〜３の何れか一つに記載のマルウェア感染端末検知装置。
【請求項５】
マルウェア感染端末検知装置で実行されるマルウェア感染端末検知方法であって、
ネットワーク通信における通信プロトコルと、該ネットワーク通信で利用されるポート番号とを特定する特定工程と、
マルウェアを動作させたときに該マルウェアが関与した通信の通信プロトコルと、該マルウェアが関与した通信で利用されたポート番号とを取得する取得工程と、
前記特定工程で特定されたポート番号が前記通信プロトコルに対応するＷｅｌｌ−Ｋｎｏｗｎポートではない場合、且つ、前記特定工程で特定された通信プロトコル及びポート番号と、前記取得工程で取得された通信プロトコル及びポート番号とが一致する場合に、前記ネットワーク通信を行なっている端末がマルウェアに感染していることを検知する検知工程と
を含んだことを特徴とするマルウェア感染端末検知方法。
【請求項６】
コンピュータを請求項１〜４に記載のマルウェア感染端末検知装置として機能させるためのマルウェア感染端末検知プログラム。
【請求項１】
ネットワーク通信における通信プロトコルと、該ネットワーク通信で利用されるポート番号とを特定する特定部と、
マルウェアを動作させたときに該マルウェアが関与した通信の通信プロトコルと、該マルウェアが関与した通信で利用されたポート番号とを取得する取得部と、
前記特定部で特定されたポート番号が前記通信プロトコルに対応するＷｅｌｌ−Ｋｎｏｗｎポートではない場合、且つ、前記特定部で特定された通信プロトコル及びポート番号と、前記取得部で取得された通信プロトコル及びポート番号とが一致する場合に、前記ネットワーク通信を行なっている端末がマルウェアに感染していることを検知する検知部と
を有することを特徴とするマルウェア感染端末検知装置。
【請求項２】
前記特定部は、前記ネットワーク通信における宛先ＩＰアドレスをさらに特定し、
前記取得部は、前記マルウェアが関与した通信における宛先ＩＰアドレスをさらに取得し、
前記検知部は、前記特定部で特定されたポート番号が前記通信プロトコルに対応するＷｅｌｌ−Ｋｎｏｗｎポートである場合、且つ、前記特定部で特定された通信プロトコル、ポート番号及び宛先ＩＰアドレスと、前記取得部で取得された通信プロトコル、ポート番号及び宛先ＩＰアドレスとが一致する場合に、前記ネットワーク通信を行なっている端末がマルウェアに感染していることを検知することを特徴とする請求項１に記載のマルウェア感染端末検知装置。
【請求項３】
前記検知部は、マルウェアに感染している端末による通信として検知した前記ネットワーク通信における通信プロトコルと、該ネットワーク通信で利用されるポート番号と、該ネットワーク通信における宛先ＩＰアドレスとをマルウェア情報として対応付けて記憶部に登録し、
前記特定部は、前記ネットワーク通信における宛先ＩＰアドレスをさらに特定し、
前記取得部は、前記検知部によって前記記憶部に登録された宛先ＩＰアドレスを含むマルウェア情報をさらに取得し、
前記検知部は、前記特定部で特定された通信プロトコル、ポート番号及び宛先ＩＰアドレスと、前記取得部で取得された通信プロトコル、ポート番号及び宛先ＩＰアドレスとが一致する場合に、前記ネットワーク通信を行なっている端末がマルウェアに感染していることを検知することを特徴とする請求項１に記載のマルウェア感染端末検知装置。
【請求項４】
前記検知部によってマルウェアに感染している端末による通信として検知された前記ネットワーク通信に対して、帯域の制御又は通信の遮断を実行する通信制御部をさらに有することを特徴とする請求項１〜３の何れか一つに記載のマルウェア感染端末検知装置。
【請求項５】
マルウェア感染端末検知装置で実行されるマルウェア感染端末検知方法であって、
ネットワーク通信における通信プロトコルと、該ネットワーク通信で利用されるポート番号とを特定する特定工程と、
マルウェアを動作させたときに該マルウェアが関与した通信の通信プロトコルと、該マルウェアが関与した通信で利用されたポート番号とを取得する取得工程と、
前記特定工程で特定されたポート番号が前記通信プロトコルに対応するＷｅｌｌ−Ｋｎｏｗｎポートではない場合、且つ、前記特定工程で特定された通信プロトコル及びポート番号と、前記取得工程で取得された通信プロトコル及びポート番号とが一致する場合に、前記ネットワーク通信を行なっている端末がマルウェアに感染していることを検知する検知工程と
を含んだことを特徴とするマルウェア感染端末検知方法。
【請求項６】
コンピュータを請求項１〜４に記載のマルウェア感染端末検知装置として機能させるためのマルウェア感染端末検知プログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【公開番号】特開２０１３−１１９４８（Ｐ２０１３−１１９４８Ａ）
【公開日】平成２５年１月１７日（２０１３．１．１７）
【国際特許分類】
【出願番号】特願２０１１−１４２９０１（Ｐ２０１１−１４２９０１）
【出願日】平成２３年６月２８日（２０１１．６．２８）
【出願人】（０００００４２２６）日本電信電話株式会社 (13,992)
【出願人】（５０４１３９６６２）国立大学法人名古屋大学 (996)
【Ｆターム（参考）】
【公開日】平成２５年１月１７日（２０１３．１．１７）
【国際特許分類】
【出願日】平成２３年６月２８日（２０１１．６．２８）
【出願人】（０００００４２２６）日本電信電話株式会社 (13,992)
【出願人】（５０４１３９６６２）国立大学法人名古屋大学 (996)
【Ｆターム（参考）】
[ Back to top ]